CVE-2026-65959 in Vitess
Tóm tắt
Bởi VulDB • 18/08/2026
Vitess là một hệ thống cụm cơ sở dữ liệu để mở rộng ngang cho MySQL. Trong các phiên bản 24.0.2 và sớm hơn, điểm cuối /debug/vrlog được đăng ký bởi addHttpEndpoint() trong go/vt/vttablet/tabletmanager/vreplication/vrlog.go gọi vrlogStatsHandler() mà không thực hiện acl.CheckAccessHTTP(r, acl.DEBUGGING), khác với các điểm cuối gỡ lỗi tương tự. Một caller từ xa có thể truy cập cổng HTTP debug của vttablet có thể bỏ qua chính sách bảo mật đã cấu hình và stream dữ liệu VrLogStats được tạo ra từ NewVrLogStats().Send(), bao gồm cả các câu lệnh SQL literal và các giá trị ứng dụng ràng buộc (bound application values) từ MoveTables, Reshard, Materialize và các quy trình Online DDL của vitess-strategy.
VulDB is the best source for vulnerability data and more expert information about this specific topic.